Osiem lat po rozpoczęciu stosowania RODO wciąż spotykamy firmy, których „wdrożenie RODO” polega na przechowywaniu w szafie stosu dokumentów z 2018 r. — rejestrów czynności przetwarzania, które nie widziały aktualizacji, i polityki ochrony danych, której nikt nie czyta. Tymczasem rzeczywistość się zmieniła: RODO i cyberbezpieczeństwo splotły się ze sobą na dobre. Art. 32 RODO wymaga środków technicznych i organizacyjnych odpowiadających ryzyku, nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (wdrażająca NIS2) nakazuje podmiotom kluczowym i ważnym wdrożyć system zarządzania bezpieczeństwem informacji obejmujący systematyczne szacowanie ryzyka, a podmioty krytyczne na mocy ustawy o zarządzaniu kryzysowym muszą prowadzić zintegrowany system zarządzania bezpieczeństwem — którego dokumentacja SZBI jest wprost wymienionym elementem.
Efekt? Wdrożenie RODO prowadzone osobno od cyberbezpieczeństwa to dziś podwójna praca i podwójny koszt. W tym przewodniku pokazujemy kompleksowy plan: jak zintegrować wymogi, od czego zacząć audyt wstępny, jak zaprojektować i przetestować rozwiązanie, jak połączyć polityki i szkolenia oraz ile to realnie kosztuje — z timeline, budżetem i liczeniem ROI.
Integracja wymogów RODO z praktykami cyberbezpieczeństwa – dlaczego to konieczne?
Trzy argumenty za integracją:
- Wspólny mianownik: ryzyko. Art. 32 ust. 1 RODO każe dobrać środki „uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych”. ISO/IEC 27001 (klauzula 6.1.2) wymaga oceny ryzyka bezpieczeństwa informacji, a art. 8 ust. 1 pkt 1 KSC — „systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzania tym ryzykiem”. Jedna, dobrze zaprojektowana analiza ryzyka obsługuje wszystkie trzy reżimy — przewiduje to zresztą wprost art. 6zt ust. 11 ustawy o zarządzaniu kryzysowym (ocena ryzyka wykonana na podstawie odrębnych przepisów uznawana jest za spełniającą wymóg w całości lub części).
- Wspólne incydenty. Naruszenie ochrony danych (art. 4 pkt 12 RODO) jest zwykle skutkiem incydentu cyberbezpieczeństwa. Jeden atak ransomware potrafi uruchomić równolegle: zgłoszenie do Prezesa UODO w 72 h (art. 33 ust. 1 RODO), wczesne ostrzeżenie o incydencie poważnym w 24 h i zgłoszenie w 72 h do CSIRT sektorowego przez system S46 (art. 11 ust. 1 pkt 4 i 4a KSC), a u podmiotu krytycznego — zgłoszenie incydentu istotnego w 24 h (art. 6zv ust. 1 pkt 4 ustawy o zarządzaniu kryzysowym). Dwa osobne procesy „na RODO” i „na cyber” gwarantują chaos w pierwszych, najcenniejszych godzinach. Co więcej: dla podmiotów kluczowych i ważnych zgłoszenia naruszenia ochrony danych osobowych dokonuje się przez ten sam system S46 (art. 46 ust. 1 pkt 7 KSC) — ustawodawca sam zintegrował te światy.
- Wspólna odpowiedzialność kierownictwa. Art. 24 ust. 1 RODO (administrator wdraża odpowiednie środki i potrafi to wykazać — zasada rozliczalności), art. 8d KSC (decyzje kierownika w sprawie SZBI, finansowanie, nadzór) i klauzula 5.1 ISO 27001 (przywództwo) mówią to samo: bezpieczeństwo danych i bezpieczeństwo informacji to jeden obszar zarządzania. Więcej o powiązaniach tych dziedzin piszemy w artykule RODO a cyberbezpieczeństwo – jak je połączyć?.
Art. 32 RODO a środki techniczne ISO 27001 – mapa nakładów
Najpraktyczniejszym narzędziem integracji jest mapa: każdy wymóg z art. 32 RODO przypisujemy do konkretnych kontroli Załącznika A ISO/IEC 27001:2022. Dzięki temu audyt RODO i audyt SZBI korzystają z tych samych dowodów, a art. 32 RODO środki techniczne przestają być abstrakcją.
| Art. 32 RODO | Treść wymogu | Kontrole ISO 27001:2022 (Załącznik A) |
|---|---|---|
| ust. 1 lit. a | pseudonimizacja i szyfrowanie danych | A.8.24 (kryptografia), A.8.11 (maskowanie danych), A.5.33 (ochrona zapisów) |
| ust. 1 lit. b | poufność, integralność, dostępność i odporność systemów | A.8.7 (złośliwe oprogramowanie), A.8.12 (zapobieganie utracie danych), A.8.16 (monitoring), A.8.20–A.8.23 (bezpieczeństwo sieci), A.5.14–A.5.15 (przekazywanie informacji, kontrola dostępu), A.7.x (bezpieczeństwo fizyczne) |
| ust. 1 lit. c | szybkie przywrócenie dostępności danych po incydencie | A.8.13 (kopie zapasowe), A.8.14 (nadmiarowość), A.5.29–A.5.30 (ciągłość działania, gotowość ICT) |
| ust. 1 lit. d | regularne testowanie, mierzenie i ocenianie skuteczności środków | A.8.8 (zarządzanie podatnościami), A.8.29 (testy bezpieczeństwa w rozwoju i akceptacji), A.5.35 (niezależny przegląd), klauzule 9.1–9.2 |
| ust. 2 (ryzyka: zniszczenie, utrata, modyfikacja, ujawnienie, dostęp) | punkt wyjścia oceny | klauzula 6.1.2 (ocena ryzyka), A.5.7 (threat intelligence) |
| ust. 3 (kodeksy postępowania, certyfikacja) | sposób wykazania zgodności | certyfikat ISO 27001 + art. 42 RODO (certyfikacja ochrony danych) |
| ust. 4 (osoby działające z upoważnienia — przetwarzanie wyłącznie na polecenie) | wymóg kadrowy | A.6.x (kontrole kadrowe), A.5.15–A.5.18 (tożsamość i dostępy), klauzula 7.3 (świadomość) |
Ta sama tabela działa „w drugą stronę” dla zgodności RODO–NIS2: środki z art. 8 ust. 1 pkt 2 KSC (polityki szacowania ryzyka, bezpieczeństwo nabywania i eksploatacji systemów — w tym testowanie, bezpieczeństwo fizyczne, zarządzanie incydentami, ciągłość działania, bezpieczeństwo łańcucha dostaw, szkolenia) mapują się niemal 1:1 na domeny A.5–A.8. Jedna dokumentacja SZBI = dowód zgodności dla RODO, KSC i (dla podmiotów krytycznych) ustawy o zarządzaniu kryzysowym, której art. 6zu ust. 2 pkt 1 i 5 wprost wymienia dokumentację SZBI i dokumentację cyberbezpieczeństwa wg KSC jako elementy zintegrowanego systemu.
Etap 1: Audyt wstępny – co sprawdzić przed rozpoczęciem wdrożenia?
Zanim kupisz narzędzia i zamówisz konsultantów, zrób (lub zleć) audyt RODO stanu wyjściowego — 2–4 tygodnie, które decydują o kształcie całego projektu. Zakres: status prawny (kim jesteśmy: administrator, procesor, podmiot kluczowy/ważny KSC, podmiot krytyczny?), mapa systemów i przepływów danych, stan dokumentacji RODO, dojrzałość techniczna i kompetencje ludzi.
Checklist: dokumentacja, procesy, technologia, ludzie
Dokumentacja:
- Rejestr czynności przetwarzania (art. 30 RODO) — aktualny, obejmujący wszystkie systemy, z kategoriami odbiorców i transferami poza EOG
- Polityka ochrony danych + polityka bezpieczeństwa informacji — istnieją, są spójne, mają właścicieli i daty przeglądu
- Analizy ryzyka i DPIA (art. 35 RODO) dla operacji wysokiego ryzyka (monitoring, duże bazy, nowe technologie)
- Umowy powierzenia (art. 28 ust. 3 RODO) — komplet z dostawcami IT, chmurą, księgowością, marketingiem
- Upoważnienia do przetwarzania i ewidencja osób upoważnionych (art. 29, art. 32 ust. 4 RODO)
- Procedura zgłaszania naruszeń (art. 33–34 RODO) — z terminami, rolami i szablonami
- Obowiązek informacyjny (art. 13–14) — klauzule na stronie, w rekrutacji, w umowach
- Dla podmiotów KSC: dokumentacja z art. 10 KSC (normatywna i operacyjna) oraz — dla podmiotów krytycznych — dokumentacja z art. 6zu ustawy o zarządzaniu kryzysowym
Procesy:
- Obsługa praw osób (dostęp, sprostowanie, usunięcie, przenoszenie — art. 12–22 RODO): kanał zgłoszeń, terminy (1 miesiąc), rejestr wniosków
- Retencja danych — tablica okresów przechowywania i realne kasowanie (nie tylko „na papierze”)
- Zarządzanie incydentem: detekcja → klasyfikacja (naruszenie danych? incydent poważny KSC? incydent istotny u.z.k.?) → zgłoszenia → wnioski
- Zarządzanie dostawcami: weryfikacja przed umową, monitoring, wyjście (zwrot/usunięcie danych)
- Zmiany w systemach: ocena wpływu na dane przed każdym wdrożeniem (privacy by design — art. 25 RODO)
Technologia:
- Szyfrowanie (dane w spoczynku i w transmisji), MFA na wszystkich zdalnych dostępach
- Zarządzanie tożsamością i przegląd uprawnień (kto ma dostęp do czego i na jakiej podstawie)
- Kopie zapasowe — wykonane, przetestowane odtworzeniowo, odseparowane od produkcji
- Logowanie i monitoring (kto, kiedy, co — dostęp do danych osobowych i systemów)
- Zarządzanie podatnościami: inwentaryzacja, skanowanie, terminy łatania
- Stanowiska pracy, urządzenia mobilne, wydruk, nośniki (A.7.x)
Ludzie:
- Wyznaczeni: IOD (art. 37 RODO + art. 8–11 ustawy o ochronie danych osobowych — zawiadomienie Prezesa UODO w 14 dni), pełnomocnik SZBI, osoby odpowiedzialne za kontakty w ramach KSC (min. dwie — art. 9 ust. 1 pkt 1 KSC)
- Szkolenia: udokumentowane, okresowe, z testami (nie „e-learning zaliczony bez czytania”)
- Kultura zgłaszania: czy pracownik wie, że phishingowy e-mail trzeba zgłosić — i nie boi się kary za pomyłkę?
Wynik audytu to raport z lukami, priorytetami i szacunkiem nakładów — fundament decyzji „robimy sami czy z konsultantem” oraz wejście do audytu zgodności z RODO powtarzanego cyklicznie.
Etap 2-4: Projektowanie, implementacja, testowanie
Etap 2 — projektowanie (4–8 tygodni). Na bazie audytu powstaje architektura zgodności: jedna metodyka analizy ryzyka (obejmująca ryzyka dla praw i wolności osób — RODO — oraz ryzyka bezpieczeństwa informacji — ISO 27001/KSC), docelowa struktura dokumentacji, projekt procesów (incydentowy! prawa osób! dostawcy!), plan techniczny (szyfrowanie, MFA, backup, logging) z kosztorysem i harmonogramem. Tu zapada też decyzja o zakresie ewentualnej certyfikacji ISO 27001.
Etap 3 — implementacja (8–16 tygodni). Wdrażanie równoległe w trzech ścieżkach: dokumenty (polityki, procedury, rejestry, umowy), technika (konfiguracje, narzędzia, testy odtworzeniowe backupów), ludzie (szkolenia, powołania, komunikacja). Kluczowa zasada: dokument opisuje to, co realnie robimy — nie odwrotnie. Audytor (i Prezes UODO) weryfikują skuteczność, nie objętość.
Etap 4 — testowanie i utrzymanie (ciągle). Sprawdzamy działający system: audyt wewnętrzny (klauzula 9.2), testy skuteczności środków (art. 32 ust. 1 lit. d RODO — skany podatności, testy penetracyjne, ćwiczenia tabletop z procedury incydentalnej), przegląd zarządzania (9.3), działania korygujące (10.1) i ponowna ocena ryzyka w cyklu co najmniej dwuletnim (dla podmiotów krytycznych — wymóg z art. 6zt ust. 1 pkt 1 u.z.k.; dla KSC — „systematycznie” wg art. 8 ust. 1 pkt 1).
Polityki bezpieczeństwa a polityki ochrony danych – jak je połączyć?
Najczęstszy błąd wdrożeniowy: dwa równoległe światy dokumentów — „polityka bezpieczeństwa informacji” (dla ISO/IT) i „polityka ochrony danych osobowych” (dla RODO), sprzeczne w definicjach, terminach i odpowiedzialnościach. Rekomendowany model:
- Jeden dokument nadrzędny — Polityka Bezpieczeństwa Informacji i Ochrony Danych (odpowiednik A.5.1), zatwierdzony przez kierownictwo, definiujący wspólne pojęcia (informacja, dane osobowe, incydent, naruszenie, ryzyko, aktywa), role (zarząd, pełnomocnik SZBI, IOD, właściciele procesów) i zasady nadrzędne.
- Załączniki/procedury szczegółowe wspólne tam, gdzie proces jest jeden: procedura zarządzania incydentami (z drzewem decyzyjnym: kiedy naruszenie RODO → 72 h do UODO; kiedy incydent poważny → 24 h/72 h do CSIRT przez S46; kiedy incydent istotny → 24 h wg u.z.k. — i kto o tym decyduje), procedura zarządzania ryzykiem, procedura klasyfikacji informacji, procedura zarządzania dostępem, procedura pracy z dostawcami.
- Rozdziały specyficzne tam, gdzie wymaga tego prawo: rejestr czynności przetwarzania i prawa osób (RODO), szacowanie ryzyka informacji niejawnych (jeśli dotyczy — ustawa o ochronie informacji niejawnych), dokumentacja ciągłości działania.
- Jedna kontrola wersji i nadzór nad dokumentacją (klauzula 7.5; art. 6zu ust. 5 u.z.k. dla podmiotów krytycznych: dostęp wyłącznie dla upoważnionych, ochrona integralności).
Dwie polityki mają sens tylko wtedy, gdy organizacja ma formalnie rozdzielone systemy zarządzania (np. certyfikowany SZBI i odrębny system ochrony danych) — i nawet wtedy powinny współdzielić warstwę definicji i procesów operacyjnych.
Szkolenia pracowników – RODO + cyber w jednym programie
Art. 29 i art. 32 ust. 4 RODO (przetwarzanie wyłącznie na polecenie i z upoważnienia), klauzule 7.2–7.3 ISO 27001 (kompetencje i świadomość), art. 8 ust. 1 pkt 2 KSC (środki obejmujące cyberhigienę i szkolenia — po nowelizacji) oraz art. 8e KSC (coroczne szkolenie kierownika podmiotu i osoby odpowiedzialnej za cyberbezpieczeństwo) — wszystkie te przepisy obsługujesz jednym, zintegrowanym programem szkoleniowym:
- Moduł bazowy (wszyscy, ~90 min, corocznie + onboarding): dlaczego dane i systemy są celem ataków; phishing i smishing (z perspektywą prawną — po nowelizacji samo podszywanie się w SMS-ie jest przestępstwem z art. 30 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej, a pracownik jest pierwszą linią obrony); hasła i MFA; praca zdalna i urządzenia mobilne; klasyfikacja informacji; jak i komu zgłaszać incydent (z wyraźnym przekazem: zgłoszenie w dobrej wierze nigdy nie karane); podstawy RODO: minimalizacja, retencja, prawa osób, komu nie wolno udostępniać danych.
- Moduł rozszerzony (role): administratorzy systemów (bezpieczna konfiguracja, logi, backupy), właściciele procesów biznesowych (ocena ryzyka, DPIA, dobór dostawców), zarząd (odpowiedzialność: art. 24 RODO, art. 8d–8e KSC, art. 83 RODO — kary do 20 mln EUR lub 4% obrotu), rekrutacja i kadry, marketing (zgody, art. 24 u.o.k.i.k. — zbiorowe interesy konsumentów).
- Weryfikacja i dowody: test końcowy, rejestr frekwencji, symulacje phishingu (z poszanowaniem prawa pracy i prywatności — zasady opisujemy w poradniku Incydent RODO), wnioski do przeglądu zarządzania. Udokumentowane szkolenie to jeden z pierwszych dowodów, o które prosi audytor certyfikacyjny i kontroler UODO.
Narzędzia i koszty wdrożenia – co się opłaca?
Darmowe vs płatne rozwiązania dla MŚP
Wdrożenie RODO nie wymaga drogiego oprogramowania, ale kilka kategorii narzędzi znacząco obniża koszt utrzymania zgodności:
| Obszar | Rozwiązania darmowe | Rozwiązania płatne (orientacyjnie) |
|---|---|---|
| Rejestry i dokumentacja RODO | szablony UODO, arkusze własne | moduły platform GRC/compliance: od ~5–15 tys. zł/rok |
| Analiza ryzyka i SZBI | SimpleRisk (darmowy core), szablony Excel | dedykowane GRC: od ~20 tys. zł/rok (MŚP) do setek tys. zł (enterprise) |
| Zarządzanie zgodami i wnioskami osób (DSAR) | skrzynka e-mail + rejestr | systemy privacy management: ~10–60 tys. zł/rok |
| Technika: MFA, backup, EDR, skanery | (ograniczone: Wazuh, wersje community) | MFA ~0–15 zł/użytk./mies.; backup ~5–30 zł/GB/rok; EDR ~8–25 zł/stanowisko/mies. |
| Szkolenia | materiały UODO/ENISA/CSIRT NASK | platformy e-learning: ~30–100 zł/os./rok; szkolenia stacjonarne: 3–8 tys. zł/dzień |
| Zgłoszenia incydentów (KSC) | system S46 — bezpłatny, obowiązkowy (art. 46 ust. 1 KSC) | wewnętrzne systemy ticketowe/GRC z modułem incydentowym |
Typowy budżet kompleksowego wdrożenia RODO z elementami cyber w MŚP (50–250 osób): audyt wstępny 10–25 tys. zł; projektowanie i dokumentacja (z integracją SZBI) 20–60 tys. zł; technika (MFA, backup, EDR, logging — najczęstsze luki) 30–150 tys. zł w pierwszym roku; szkolenia 5–20 tys. zł; wsparcie IOD/pełnomocnika (outsourcing) 1,5–6 tys. zł/mies.; narzędzia GRC/privacy 0–30 tys. zł/rok. Razem: realnie 80–300 tys. zł w pierwszym roku i 30–90 tys. zł/rok utrzymania — widełki zależne od sektora, skali i stanu wyjściowego. Przy połączeniu z certyfikacją ISO 27001 dochodzą koszty audytu certyfikacyjnego (kilkanaście–kilkadziesiąt tys. zł). Kwoty mają charakter szacunkowy (wrzesień 2026) — każdorazowo wymagają wyceny.
ROI wdrożenia: uniknięcie kar vs koszt inwestycji
Rachunek zwrotu warto pokazać zarządowi w trzech warstwach:
- Uniknięte kary i sankcje. RODO: do 10 mln EUR lub 2% obrotu m.in. za naruszenie art. 32, do 20 mln EUR lub 4% za naruszenie zasad przetwarzania i praw osób (art. 83 ust. 4–5 RODO); Prezes UODO nakładał już kary rzędu milionów złotych (głośne sprawy z rynku e-commerce i telekomunikacji sięgały ~2–3 mln zł). KSC: do 10 mln EUR lub 2% przychodów dla podmiotu kluczowego i do 7 mln EUR lub 1,4% dla ważnego (art. 73 ust. 3–4), plus kary dla podmiotów krytycznych z ustawy o zarządzaniu kryzysowym (np. do 150 tys. zł za brak wdrożenia rozwiązań, do 200 tys. zł za brak audytu — art. 6zzr). Dla porównania: dobrze wykonane wdrożenie kosztuje ułamek jednej takiej kary.
- Uniknięte koszty incydentu. Przestój operacyjny, odtwarzanie danych, obsługa prawna i komunikacyjna naruszenia, roszczenia osób (art. 82 RODO — odszkodowanie za szkodę majątkową i niemajątkową), utrata kontraktów. Jeden poważny incydent w MŚP potrafi kosztować więcej niż dekada utrzymania systemu zgodności.
- Przychody i przewagi. Certyfikacja i dojrzały system otwierają przetargi (PZP — kryteria pozacenowe), łańcuchy dostaw (duzi kontrahenci coraz częściej audytują dostawców — por. wymagania wobec dostawców krytycznych w art. 6zzo–6zzq u.z.k. i art. 28+ DORA w finansach), a w obszarze eID pozytywny wynik audytu SZBI jest wprost wymagany ustawowo (art. 21g ust. 3 pkt 1 lit. a ustawy o usługach zaufania oraz identyfikacji elektronicznej). Zgodność staje się produktem, nie kosztem.
Praktyczny wzór dla zarządu: ryzyko roczne = prawdopodobieństwo istotnego incydentu × (koszt incydentu + ryzyko kary) — porównaj je z kosztem wdrożenia i utrzymania. W większości branż po 2024 r. (fala ataków na MŚP, obowiązki KSC/NIS2) ten rachunek przestał być dyskusyjny.
Podsumowanie: jeden system, wiele zgodności
Wdrożenie RODO z elementami cyberbezpieczeństwa to nie dwa projekty, lecz jeden system zarządzania z wieloma „wyjściami sprawozdawczymi”: wspólna analiza ryzyka (art. 32 RODO / 6.1.2 ISO 27001 / art. 8 KSC), wspólny proces incydentowy (72 h UODO / 24 h i 72 h CSIRT przez S46 / 24 h RCB), wspólna dokumentacja i szkolenia, wspólna odpowiedzialność kierownictwa (art. 24 RODO, art. 8d KSC, klauzula 5.1 ISO 27001). Zacznij od audytu wstępnego z checklistą powyżej, zaprojektuj jeden zintegrowany system, wdrażaj etapami i testuj skuteczność — a koszty rozkładaj świadomie, zaczynając od luk krytycznych (MFA, backup, logowanie, procedura incydentalna).
📩 Konsultacja w zakresie wdrożenia RODO + cyber
Ocenimy Twój status (administrator/procesor, podmiot kluczowy/ważny KSC, podmiot krytyczny), wskażemy 3 najważniejsze luki i przygotujemy plan wdrożenia z budżetem — RODO i cyberbezpieczeństwo w jednym projekcie.
Skontaktuj się z nami
Źródła prawne i normatywne
- Rozporządzenie (UE) 2016/679 (RODO) — art. 4 pkt 12; art. 5; art. 12–22; art. 24–25; art. 28–30; art. 32–36; art. 37–39; art. 42; art. 82–83.
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781, z późn. zm.) — art. 8–11.
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20, z późn. zm.) — art. 8 ust. 1; art. 8d–8e; art. 9 ust. 1; art. 10; art. 11 ust. 1 pkt 4–4c; art. 46 ust. 1 pkt 7; art. 73 ust. 3–4.
- Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (t.j. Dz. U. z 2026 r. poz. 574 i 815) — art. 6zt (w tym ust. 11); art. 6zu ust. 2 i 5; art. 6zv ust. 1 pkt 4; art. 6zzo–6zzq; art. 6zzr.
- Ustawa z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej (t.j. Dz. U. z 2024 r. poz. 1725) — art. 21g ust. 3 pkt 1 lit. a.
- Ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (t.j. Dz. U. z 2024 r. poz. 1803, z późn. zm.) — art. 30.
- Norma ISO/IEC 27001:2022 (z Amd 1:2024) — klauzule 5.1, 6.1.2–6.1.3, 7.2–7.3, 7.5, 9.1–9.3, 10.1; Załącznik A: A.5.x, A.6.x, A.7.x, A.8.x (m.in. A.8.8, A.8.11, A.8.13, A.8.24, A.8.29).
Kwoty i stawki mają charakter orientacyjny (wrzesień 2026 r.) i wymagają indywidualnej wyceny. Stan prawny na dzień 20 września 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.
